Privacy by default?
Onderdeel van “privacy by default” in organisaties zijn maatregelen die recht doen aan het “need to know” principe. Uiteraard willen veel organisaties hier ook invulling aan geven met de juiste maatregelen.
Bij het invoeren van de gewenste maatregelen daarvoor kan het maar zo zijn dat je er tegenaan loopt dat een softwaretoepassing zich niet zo eenvoudig laat kneden. Het is bijvoorbeeld ingericht om rechten toe te kennen aan rollen, in plaats van workflow- of zaakgerichte rechtentoekenning. Dat betekent dat een behandelaar niet slechts zijn eigen klanten of patiënten kan behandelen in het systeem maar ook de gegevens van patiënten of klanten van andere behandelaars kan raadplegen, bewust of ook per ongeluk. De behandelaar heeft de juiste rol en de juiste rechten toegewezen gekregen.
Stel dat er geen extra slagboompje in de software is te bedenken, dan zouden op zijn minst soft controls zoals de juiste kennis, tone at the top, cultuur en integriteit de juiste aandacht moeten hebben. Wil je kunnen steunen dan moeten de medewerkers de juiste kennis aangereikt krijgen voor wat “privacy bij default” en “needtoknow” inhoudt. Worden deze niet onderhouden dan kan ook niet het juiste gedrag worden verwacht. Dat geldt natuurlijk ook voor het voorbeeld geven door de leidinggevenden en de wíl om je aan deze integriteitsregels te houden. Het komt niet vanzelf goed.
Niet alleen vanwege eventuele reputatieschade, maar juist voor een fijn werkklimaat en het voldoen aan de privacyregels maakt investeren in kennisoverdracht en awareness op dit vlak tot een must.
Logging en monitoring op de raadpleging in systemen, als aanvulling op deze soft-controls, zijn dan wel een vereiste om te kunnen aantonen dat je voldoet en om te beoordelen of extra aandacht voor kennis en awareness een vereiste is.